- Shipped
- lúc 00:11 24 tháng 9, 2026 UTC
- Author
- Kamo
- Commit
- 0eb2550
/api/login, //api/login/mfa và //api/ssion/select đã trồng *** với http Only: lase ("khách hàng - truy cập để kiểm tra phiên chạy") — nhưng không có mã trình duyệt khi đăng nhập.* hoặc kamo-i nội bộ đọc nó bất kỳ thêm; kamo-i nội bộ chứa phiên chạy mỗi thẻ. Một cookie phiên chạy có thể đọc được là một XSS cách một Bây giờ là Htp Only. Nó cũng làm cho đăng xuất hoạt động như mục đích: trang đăng xuất xoá mọi cookie khỏi văn lệnh trước khi gọi / api/logout, vì vậy /api/logout không bao giờ tìm thấy *** Không thể gỡ bỏ nó. Bốn dòng ghi nhật ký in 32 ký tự đầu tiên của một ID phiên chạy (hoặc của một OTK đăng nhập), chúng Bây giờ in độ dài.